Политика конфиденциальности

ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ, ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ»

Утверждена: 31 января 2023 года

редакция от 11.06.2025

Настоящая Политика конфиденциальности, обработки и защиты персональных данных (далее – Политика) регулирует порядок получения, обработки, хранения, использования, защиты и передачи персональных данных физических лиц, взаимодействующих с Индивидуальным предпринимателем Шадриной Еленой Викторовной, ИИН 890418400637, осуществляющей деятельность под именем ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ» (далее – Администратор).

Настоящая Политика является неотъемлемой частью Публичной оферты об оказании оздоровительных услуг и применяется ко всем действиям, связанным с использованием Пользователем любых цифровых каналов Администратора: веб-сайта, приложений, мессенджеров, CRM-систем, социальных сетей, форм записи, средств обратной связи, а также при посещении физической локации фитнес-студии.

1. Общие положения

   1. Цель настоящей Политики — обеспечить соблюдение прав и свобод физических лиц при обработке их персональных данных, а также защиту этих данных от неправомерного доступа и разглашения в соответствии с требованиями Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».

   2. Под персональными данными в настоящей Политике понимается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных), включая, но не ограничиваясь: ФИО, номер телефона, адрес электронной почты, данные об оплатах, местоположение, история взаимодействий, изображения с камер видеонаблюдения, аккаунты в социальных сетях, идентификаторы устройств, поведенческие и маркетинговые данные, предоставленные в рамках использования услуг Администратора.

   3. Под обработкой персональных данных понимаются действия (операции) с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, хранение, изменение, обезличивание, блокирование, уничтожение, передачу (распространение, предоставление, доступ) персональных данных.

   4. Администратор выступает в роли владельца и/или оператора персональных данных в соответствии со статьёй 1 Закона РК «О персональных данных и их защите».

   5. Пользователь выражает своё добровольное согласие на обработку персональных данных при выполнении одного или нескольких действий, однозначно свидетельствующих о принятии условий Политики: регистрация, отправка заявки, отметка согласия, вступление в коммуникацию через цифровые каналы, устное подтверждение, иные действия, допускающие идентификацию пользователя и предоставление ему услуг.

   6. Настоящая Политика применяется ко всем лицам, взаимодействующим с Администратором, независимо от их статуса (клиенты, потенциальные клиенты, посетители сайта, подписчики, участники мероприятий, партнёры и иные лица), чьи персональные данные обрабатываются в рамках предоставления услуг или маркетинговой коммуникации.

   7. Использование Пользователем сервисов и ресурсов Администратора, а также посещение студии означает полное и безоговорочное принятие условий настоящей Политики и даёт согласие на обработку персональных данных в установленном порядке.

   8. В случае несогласия с условиями Политики Пользователь обязан:
      – воздержаться от использования ИИ и услуг Администратора;
      – направить письменное уведомление об отказе от обработки ранее предоставленных данных (в порядке, установленном в настоящей Политике).

   9. Администратор вправе вносить изменения в настоящую Политику в любое время без предварительного уведомления, если иное не предусмотрено законодательством или договором. Все изменения вступают в силу с момента публикации новой редакции на официальных ресурсах ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ».

   10. Во всём, что не урегулировано настоящей Политикой, Администратор и Пользователь руководствуются применимым законодательством Республики Казахстан, включая гражданское, информационное и цифровое регулирование.

2. Введение: статус и правовая связь с договором-офертой

   1. Настоящая Политика конфиденциальности, обработки и защиты персональных данных (далее – «Политика») является официальным внутренним актом ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ» (Шадрина Е.В., ИИН 890418400637) и обязательна к применению при осуществлении любых действий, связанных с обработкой персональных данных физических лиц, взаимодействующих с Администратором.

   2. Политика разработана в соответствии с нормами Закона Республики Казахстан «О персональных данных и их защите», а также иными применимыми нормативными правовыми актами Республики Казахстан и направлена на установление единых правил обработки персональных данных, обеспечения их конфиденциальности, безопасности и законности использования.

   3. Политика является неотъемлемой частью Договора публичной оферты об оказании оздоровительных услуг, опубликованного на официальных цифровых платформах Администратора. Все положения настоящей Политики имеют такую же юридическую силу, как и положения Публичной оферты, и обязательны для исполнения сторонами договора.

   4. Акцепт Публичной оферты (подача заявки на занятие, регистрация, проставление галочки, иные действия, направленные на использование услуг) одновременно означает полное и безоговорочное согласие Пользователя с настоящей Политикой, а также даёт право Администратору на обработку персональных данных Пользователя в объёме, порядке и целях, предусмотренных настоящей Политикой.

   5. Условия настоящей Политики регулируют обработку персональных данных во всех каналах взаимодействия с Администратором, включая:

• веб-сайт и мобильное приложение;

• социальные сети (Instagram, Facebook и др.);

• мессенджеры (WhatsApp, Telegram и др.);

• CRM и внутренние информационные системы;

• бумажные и устные обращения;

• посещение физических объектов Администратора.

6. В случае противоречий между текстом Публичной оферты и настоящей Политики, приоритет имеют положения Политики в части, касающейся обработки и защиты персональных данных.

7. Пользователь, предоставляя персональные данные, подтверждает, что:

• действует добровольно, осознанно и в собственных интересах;

• имеет полную дееспособность;

• ознакомлен и согласен с условиями настоящей Политики;

• понимает последствия предоставления или отказа от предоставления данных.

8. Настоящая Политика применяется ко всем Пользователям, независимо от способа взаимодействия с Администратором (очно, дистанционно, в процессе оказания услуг или в рамках маркетинговой и информационной активности).

3. Термины и определения

1. В целях настоящей Политики используются следующие термины и определения:

1. Администратор – Индивидуальный предприниматель Шадрина Елена Викторовна (ИИН: 890418400637), осуществляющий деятельность под именем ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ» и самостоятельно либо совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки, состав подлежащих обработке данных, действия (операции) с персональными данными.

2. Пользователь (Субъект персональных данных) – физическое лицо, которое использует ИИ и (или) услуги Администратора, и (или) предоставляет свои персональные данные Администратору, независимо от формы и канала такого взаимодействия.

3. ИИ (Информационные интерфейсы) – совокупность цифровых платформ и средств взаимодействия с Пользователями, используемых Администратором, включая, но не ограничиваясь: сайт, мобильные и веб-приложения, социальные сети, мессенджеры, чат-боты, формы обратной связи, системы учёта клиентов, а также любое иное средство коммуникации с Пользователем.

4. Персональные данные – информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, позволяющая прямо или косвенно определить его личность, включая: фамилию, имя, отчество, номер телефона, адрес электронной почты, аккаунты в социальных сетях, адрес местонахождения, платежные реквизиты, сведения о заказанных услугах, изображения с камер видеонаблюдения и иные данные, полученные в результате использования ИИ или предоставленные непосредственно Пользователем.

5. Обработка персональных данных – любые действия (операции), совершаемые с персональными данными с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование и уничтожение персональных данных.

6. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники (в том числе CRM-систем, мессенджер-ботов, веб-аналитики, сервисов email-маркетинга и т.п.).

7. Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.

8. Распространение персональных данных – действия, направленные на передачу персональных данных определённому кругу лиц (в том числе через публикацию в СМИ, размещение в телекоммуникационных сетях и т.п.).

9. Конфиденциальность персональных данных – обязанность Администратора и (или) иных лиц, получивших доступ к персональным данным, не раскрывать данные третьим лицам без согласия субъекта или иного законного основания.

10. Третьи лица – любые лица, не являющиеся Администратором и не находящиеся с ним в трудовых отношениях, которым могут быть переданы персональные данные Пользователя на основании договора, соглашения или закона (в том числе поставщики IT-услуг, партнёры, маркетинговые агентства, курьерские службы и др.).

11. Оферта – публичное предложение Администратора, адресованное неопределённому кругу лиц, заключить договор оказания оздоровительных услуг на условиях, изложенных в соответствующем документе (Публичная оферта), опубликованном на официальных ресурсах.

12. Акцепт оферты – действия Пользователя, выражающие согласие с условиями Публичной оферты и настоящей Политики, включая, но не ограничиваясь: подача заявки, регистрация, нажатие соответствующей кнопки, устное или письменное подтверждение.

4. Субъекты персональных данных и сфера действия Политики

   1. Субъектами персональных данных, в отношении которых применяется настоящая Политика, являются:

• Физические лица – клиенты ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ», включая всех лиц, получающих или намеревающихся получить услуги, предоставляемые Администратором;

• Потенциальные клиенты – лица, направившие запрос, заявку, подписавшиеся на рассылку или вступившие в контакт с Администратором через любые ИИ, но не заключившие договор на оказание услуг;

• Представители клиентов, действующие от имени третьих лиц, включая родителей несовершеннолетних, представителей компаний, партнёров;

• Посетители ИИ, включая лиц, не заказавших услуг, но взаимодействующих с веб-сайтом, социальными сетями, приложениями, чат-ботами и иными цифровыми интерфейсами;

• Пользователи, участвующие в мероприятиях, опросах, конкурсах, рекламных акциях и других активностях, проводимых Администратором;

• Контактные лица партнёров и контрагентов, с которыми Администратор взаимодействует в рамках исполнения договоров и бизнес-процессов.

2. Настоящая Политика распространяется на все процессы сбора, обработки, хранения, использования, передачи и удаления персональных данных, осуществляемые Администратором, независимо от:

• способа получения данных (через ИИ, электронную почту, мессенджеры, бумажные формы, устное сообщение, автоматические системы);

• формы взаимодействия (дистанционная, очная, онлайн-запись, телефонный звонок и др.);

• территории предоставления услуг (на всей территории Республики Казахстан, а также за её пределами при трансграничной обработке).

3. Действие настоящей Политики охватывает:

• весь цикл обработки персональных данных от момента их получения до уничтожения;

• все ИИ, которыми управляет Администратор или его уполномоченные представители;

• хранение данных как в цифровом, так и в бумажном виде;

• взаимодействие с третьими лицами в случаях, прямо указанных в настоящей Политике или вытекающих из договора оферты.

4. Политика не применяется к случаям, когда:

• персональные данные получены третьими лицами вне контроля Администратора;

• данные размещены субъектом самостоятельно в публичных источниках (например, открытых аккаунтах, комментариях и отзывах);

• к данным применяется иной правовой режим на основании закона (например, трудовые отношения регулируются отдельными локальными актами).

5. Администратор не осуществляет преднамеренный сбор персональных данных у лиц, не достигших 18 лет, и не предоставляет свои услуги несовершеннолетним без явного подтверждённого согласия их законных представителей. При выявлении таких данных они подлежат немедленному удалению, если иное не предусмотрено законом.

5. Категории персональных данных, обрабатываемых Администратором

   1. В процессе оказания услуг, использования ИИ, исполнения договоров и взаимодействия с Пользователем Администратор может собирать и обрабатывать следующие категории персональных данных:

A. Основные идентификационные данные

• Фамилия, имя, отчество (при наличии);

• Дата рождения;

• Пол;

• Гражданство;

• Уникальный идентификатор клиента в ИИ (если применимо).

B. Контактная информация

• Номера мобильных телефонов;

• Адреса электронной почты;

• Указанные аккаунты в социальных сетях и мессенджерах (Instagram, WhatsApp, Telegram и др.);

• Почтовый или фактический адрес, если предоставлен Пользователем.

C. Данные по услуге и взаимодействию

• Информация о заказанных/оплаченных/оказанных услугах;

• История посещений фитнес-студии и записей на занятия;

• Сведения о результатах анкет, опросов и обратной связи;

• Фотографии, сделанные в рамках тренировок и мероприятий (при согласии Пользователя);

• Отзывы и комментарии, оставленные Пользователем.

D. Платёжные и финансовые данные

• Информация о проведённых платежах;

• Частично маскированные реквизиты банковской карты (в случае хранения через сертифицированные платёжные шлюзы);

• История выставления счетов и поступления оплаты;

• Сведения о скидках, бонусах и промокодах.

E. Технические и поведенческие данные

• IP-адреса, cookie-файлы, сведения о сессиях;

• Устройства и браузеры, с которых осуществляется вход;

• Логи посещений сайта, приложения, CRM;

• Геолокационные данные при использовании мобильных приложений.

F. Видеоданные и фоторегистрация

• Записи с камер видеонаблюдения на территории студии (в том числе в целях безопасности и разрешения спорных ситуаций);

• Изображения, сделанные в рамках мероприятий, при наличии согласия.

G. Дополнительные данные

• Иная информация, предоставленная Пользователем добровольно (включая ответы в чатах, в форме обратной связи, анкетах);

• Данные, полученные от третьих лиц (например, при записи через агрегаторов, маркетинговых партнёров, реферальные программы).

2. Объём и конкретный состав персональных данных, подлежащих обработке, зависят от характера отношений между Пользователем и Администратором и ограничиваются только необходимыми данными, требуемыми для достижения целей, изложенных в Политике.

3. Администратор не обрабатывает специальные категории персональных данных (о состоянии здоровья, национальности, политических взглядах и т.п.), за исключением случаев, прямо предусмотренных законом или когда такие данные предоставляются Пользователем добровольно и с письменного согласия.

4. В случае получения от Пользователя заведомо избыточных, неточных или недостоверных данных Администратор вправе удалить такие сведения либо ограничить их использование, если это не нарушает права субъекта данных.

6. Источники получения персональных данных и порядок их актуализации

   1. Администратор получает персональные данные Пользователя следующими основными способами:

• Непосредственно от самого Пользователя, при заполнении форм обратной связи, записи на занятия, подаче заявок через сайт, приложения, мессенджеры и иные ИИ;

• При устной коммуникации, включая телефонные звонки, голосовые сообщения в мессенджерах, переговоры и устные обращения;

• Автоматически, в результате использования ИИ, включая сбор технической информации (cookie, логи, IP-адрес, идентификаторы устройств, геолокация и др.);

• Из публичных источников, включая общедоступные профили в социальных сетях и открытые комментарии;

• От третьих лиц, действующих по поручению Пользователя или на основании соглашения с Администратором (например, маркетинговые платформы, платёжные агрегаторы, сервисы CRM и обратной связи);

• Через видеонаблюдение, установленное в помещениях фитнес-студии для обеспечения безопасности, контроля качества обслуживания и разрешения спорных ситуаций.

2. Актуализация и уточнение персональных данных может производиться:

• по инициативе самого Пользователя (например, через обращение по контактам, указанным в настоящей Политике);

• в результате запроса Администратора в целях подтверждения корректности ранее предоставленных данных;

• автоматически — при использовании ИИ с функцией авторизации, интеграции социальных сетей или повторной регистрации Пользователя;

• на основании официальных уведомлений органов государственной власти или иных уполномоченных структур.

3. Пользователь обязуется предоставлять только достоверную и актуальную информацию, а в случае изменений — своевременно уведомлять Администратора об изменении контактных данных, ФИО, формы участия и иных существенных сведений.

4. В случае выявления недостоверной информации Администратор вправе приостановить оказание услуг, ограничить функционал ИИ или запросить подтверждение достоверности данных.

5. Администратор не несёт ответственности за возможные убытки, возникшие в связи с использованием недостоверной, устаревшей или ошибочной информации, предоставленной Пользователем, если иное не предусмотрено законодательством.

7. Правовые основания обработки персональных данных

   1. Обработка персональных данных Пользователя осуществляется на основании следующих правовых оснований, предусмотренных законодательством Республики Казахстан:

      1. Согласие субъекта персональных данных

• Добровольно выраженное, осознанное и конкретное согласие Пользователя на обработку его персональных данных, выраженное:

  • путём заполнения веб-форм, регистрации, проставления галочки «Согласен»;

  • подачи заявки через сайт, мессенджеры, социальные сети, мобильное приложение;

  • участия в рекламных акциях, мероприятиях или опросах;

  • подписки на новостную рассылку;

  • устного подтверждения по телефону или при личном обращении;

• Согласие считается данным в письменной форме, в том числе в электронном виде, если такое подтверждение фиксируется техническими средствами ИИ.

2. Необходимость исполнения договора или подготовки к его заключению

• Обработка данных необходима для исполнения Публичной оферты, заключённой между Пользователем и Администратором, включая:

  • запись на занятия, оказание оздоровительных и информационных услуг;

  • осуществление связи, отправку уведомлений;

  • выставление счетов и приём платежей;

  • предоставление бонусов, абонементов и иных сопутствующих сервисов.

3. Выполнение требований законодательства

• Обработка персональных данных осуществляется в целях выполнения обязательств, предусмотренных:

  • Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»;

  • Налоговым кодексом РК, в части идентификации плательщиков;

  • Законами о бухгалтерском учёте и документообороте;

  • Иными правовыми актами, регулирующими оказание услуг, расчёты, обращения потребителей и контрольные процедуры.

4. Защита прав и законных интересов Администратора

• Обработка допустима для:

  • выявления и пресечения злоупотреблений, нарушений условий Публичной оферты;

  • обеспечения информационной безопасности;

  • ведения претензионной или судебной работы;

  • контроля качества услуг и защиты имущественных интересов.

2. Обработка осуществляется строго в рамках целей, определённых настоящей Политикой, и не выходит за пределы тех действий, которые прямо разрешены законом или согласованы с Пользователем.

3. В случаях, предусмотренных законом, Администратор может запрашивать дополнительное письменное согласие на обработку отдельных категорий персональных данных (например, фото- и видеоматериалы, отзывы, отзывы в целях публикации, биометрические данные).

4. Субъект персональных данных вправе в любой момент отозвать своё согласие на обработку, если иное не ограничено обязательствами по исполнению договора или требованиями законодательства. Условия отзыва, а также порядок реализации соответствующих прав изложены в Разделе 19 настоящей Политики.

8. Цели обработки персональных данных

   1. Обработка персональных данных осуществляется Администратором исключительно в целях, соответствующих законодательству Республики Казахстан и условиям Публичной оферты. Такие цели включают:

1) Оказание фитнес-услуг и исполнение обязательств по Публичной оферте:

• регистрация Пользователя в ИИ и предоставление доступа к сервисам;

• оформление заявок, расписаний, абонементов и иных продуктов;

• бронирование, изменение и отмена занятий;

• приём и обработка платежей, выставление счетов;

• предоставление индивидуальных условий, бонусов, акций;

• ведение учёта посещений, истории услуг и персональных программ;

• техническая поддержка, ответы на запросы и решение обращений.

2) Маркетинг, реклама и обратная связь:

• отправка персонализированных предложений, акций и уведомлений;

• проведение опросов, исследований удовлетворённости и обратной связи;

• реализация программ лояльности и мотивации;

• публикация отзывов, цитат и фото с согласия Пользователя;

• участие в реферальных и кросс-маркетинговых программах;

• информирование о новых услугах и мероприятиях, включая партнёрские.

3) Административные и правовые цели:

• ведение клиентской базы, в том числе с применением CRM;

• защита прав и законных интересов Администратора (включая претензионную, досудебную и судебную работу);

• обеспечение безопасности имущества и людей (включая видеонаблюдение);

• соблюдение бухгалтерского, налогового и иного законодательства РК;

• реализация обязанностей по персональным данным, предусмотренных Законом РК № 94-V от 21.05.2013 г.

4) Улучшение качества сервиса и развитие ИИ:

• анализ поведения Пользователей на сайте и в приложениях;

• A/B тестирование, техническая оптимизация и персонализация интерфейса;

• выявление и предотвращение технических сбоев, нарушений политики или злоупотреблений;

• ведение статистики и агрегированных аналитических данных.

5) В иных целях, прямо предусмотренных законодательством или согласованных с Пользователем.

2. Обработка осуществляется только в объёме, необходимом для достижения конкретных целей. При достижении целей обработки соответствующие персональные данные подлежат уничтожению либо обезличиванию, если иное не требуется по закону.

3. Цели обработки могут быть конкретизированы в рамках отдельных сервисов ИИ, пользовательских соглашений, условий акций и маркетинговых мероприятий.

9. Условия получения и отзыва согласия на обработку данных

   1. Согласие субъекта персональных данных (Пользователя) на сбор и обработку его персональных данных является основным условием их обработки, за исключением случаев, прямо предусмотренных законодательством Республики Казахстан.

   2. Согласие считается полученным, если Пользователь:

• проставляет отметку («галочку») в форме на ИИ с текстом о согласии;

• нажимает кнопку, отправляет форму, оставляет заявку или сообщение в мессенджере;

• регистрируется в системе, оформляет заявку на занятие, подписку или иное участие в сервисе;

• подтверждает согласие устно при телефонном разговоре или личном визите (если зафиксировано);

• продолжает использование ИИ после появления окна или блока с текстом согласия (имплицитное согласие).

3. Согласие может быть дано:

• в письменной форме (включая электронную форму через интерфейс ИИ);

• устно (при наличии подтверждающей записи или сообщения);

• иными действиями, однозначно подтверждающими намерение Пользователя разрешить обработку данных.

4. Согласие даётся на весь срок действия Публичной оферты, а также на период хранения данных, предусмотренный настоящей Политикой, если не указан иной срок в специальных условиях, соглашениях или отдельных сервисах.

5. Пользователь вправе в любой момент отозвать своё согласие полностью или частично, направив письменное уведомление по контактам, указанным в настоящей Политике.

6. Отзыв согласия не влияет на законность обработки данных, осуществлённой до момента получения такого отзыва.

7. В случае отзыва согласия:

• Администратор прекращает обработку и, при отсутствии иных правовых оснований, уничтожает соответствующие данные в течение 10 (десяти) рабочих дней с момента получения уведомления;

• Пользователь может потерять возможность пользоваться частью или всеми сервисами, если обработка персональных данных является необходимым условием их предоставления (например, участие в занятиях, рассылках, CRM-сервисах);

• обязательства по договору (Публичной оферте), исполнение которых требует персональных данных, прекращаются или приостанавливаются по инициативе Пользователя.

8. Порядок направления уведомления об отзыве согласия, а также подтверждение его получения и реализация последствий описаны в Разделе 19 настоящей Политики.

10. Условия обработки персональных данных и действия Администратора

    1. Обработка персональных данных осуществляется Администратором добросовестно, на законной и справедливой основе, с соблюдением принципов минимизации и целевого ограничения, строго в пределах, необходимых для достижения целей, определённых настоящей Политикой.

    2. Персональные данные обрабатываются следующими способами (в зависимости от конкретных сервисов ИИ):

• автоматизированная обработка (с применением информационных технологий, CRM-систем и программных средств учёта);

• неавтоматизированная обработка (в том числе ведение журналов, листов регистрации, подписей на бумажных анкетах и заявлениях);

• комбинированная обработка (частично с применением цифровых средств, частично — вручную).

3. В рамках обработки могут осуществляться следующие действия:

• сбор, запись, систематизация, накопление;

• хранение, уточнение (обновление, изменение);

• использование, обезличивание, блокирование;

• удаление и уничтожение;

• передача (в том числе трансграничная) — в случаях, предусмотренных настоящей Политикой и законодательством.

4. Администратор принимает на себя обязанности оператора персональных данных и обеспечивает:

• соблюдение прав субъектов данных в порядке, установленном Законом;

• применение организационных и технических мер по защите данных (см. Раздел 16);

• ведение внутреннего учёта операций по обработке;

• ограничение доступа к персональным данным сотрудников и подрядчиков, действующих на основании доверия, NDA или внутреннего регламента.

5. Доступ к персональным данным предоставляется строго ограниченному кругу лиц, наделённых соответствующими полномочиями, прошедших инструктаж и принявших обязательства по неразглашению конфиденциальной информации.

6. Все операции по обработке персональных данных документируются и (при необходимости) логируются для целей отчётности, внутреннего контроля и соблюдения требований Закона.

7. Обработка специальных категорий персональных данных (в том числе биометрических, медицинских, а также сведений о состоянии здоровья) не осуществляется, за исключением:

• случаев, когда такие данные добровольно и явно предоставлены Пользователем;

• случаев, прямо предусмотренных Законом Республики Казахстан и с соблюдением всех мер защиты.

8. Обработка персональных данных не допускается:

• в целях, не соответствующих настоящей Политике;

• в объёме, превышающем необходимый;

• в случаях, когда субъект персональных данных выразил запрет или отозвал согласие, за исключением обязательных случаев хранения данных (см. Раздел 15).

11. Передача и раскрытие персональных данных третьим лицам

    1. Администратор вправе передавать персональные данные третьим лицам исключительно в объёме, необходимом для достижения целей, установленных настоящей Политикой, и на законных основаниях, предусмотренных законодательством Республики Казахстан.

    2. Передача может осуществляться в следующих случаях:

1. Согласие Пользователя:
   Передача осуществляется на основании предварительного и однозначного согласия субъекта персональных данных, включая выражение согласия через интерфейс ИИ, форму заявки или иные действия, подтверждающие согласие.

2. Исполнение обязательств по Публичной оферте:
   Для предоставления услуг, обработки платежей, организации записи на занятия, клиентского сопровождения, технической поддержки, логистики, доставки и прочих сервисов.

3. Исполнение требований законодательства Республики Казахстан:
   Включая, но не ограничиваясь, налоговыми, бухгалтерскими, статистическими, правоохранительными и судебными обязанностями.

4. В целях защиты прав и законных интересов Администратора:
   В том числе при необходимости участия в спорах, рассмотрениях, урегулировании претензий, обеспечении безопасности клиентов и персонала, предотвращении мошенничества.

5. Обработка по поручению Администратора:
   В случаях привлечения подрядчиков (например, хостинг-провайдеров, систем CRM, мессенджеров, email-рассылок, рекламных и SMM-агентств), с которыми заключены договоры, содержащие условия о конфиденциальности и обязательства по защите данных.

3. Третьи лица, получающие доступ к персональным данным на основании поручения, обязаны:

• использовать данные строго в пределах поручения;

• не раскрывать их третьим лицам без согласия Администратора;

• обеспечивать конфиденциальность и техническую защиту на уровне не ниже установленного законодательством Республики Казахстан.

4. В случае передачи данных за пределы Республики Казахстан (трансграничная передача), Администратор обязуется обеспечивать соблюдение норм законодательства РК и передавать данные только в страны, обеспечивающие адекватную защиту прав субъектов персональных данных, либо с согласия субъекта персональных данных (в том числе, если Пользователь использует зарубежные мессенджеры, соцсети или email-платформы).

5. Администратор не несёт ответственности за действия третьих лиц, получивших доступ к персональным данным на законных основаниях, при условии, что они действуют самостоятельно в качестве операторов данных.

12. Использование файлов cookie, IP-адресов и иных технических средств

    1. При использовании ИИ, в том числе веб-сайтов и мобильных приложений, Администратор может автоматически собирать техническую информацию о Пользователе, включая, но не ограничиваясь:

• IP-адресом;

• типом браузера и устройством;

• операционной системой;

• временными метками активности;

• данными cookie-файлов;

• языковыми и географическими настройками;

• поведением на страницах (переходы, клики, продолжительность нахождения и т.п.).

2. Cookie-файлы (файлы с данными, размещаемые на устройстве Пользователя) используются Администратором и/или его партнёрами для:

• обеспечения стабильной работы ИИ;

• запоминания предпочтений Пользователя;

• персонализации интерфейса и контента;

• проведения аналитики и улучшения пользовательского опыта;

• таргетированной рекламы (при наличии соответствующего согласия);

• повышения безопасности и предотвращения несанкционированного доступа.

3. Пользователь может изменить настройки cookie в браузере самостоятельно, включая полный запрет на хранение или автоматическое удаление. Однако ограничение использования cookie может повлиять на работоспособность и функциональность ИИ.

4. Администратор вправе использовать сторонние инструменты аналитики и маркетинга (например, Google Analytics, Meta Pixel, Яндекс.Метрика и др.), которые могут собирать обезличенную информацию о действиях Пользователя через cookie, пиксели, JavaScript и аналогичные технологии.

5. Использование технических средств не предусматривает установления личности Пользователя, если только сам Пользователь не передал персональные данные через ИИ. В случае совмещения технической информации с другими данными (например, e-mail, номер телефона), такая информация рассматривается как персональная и обрабатывается по правилам настоящей Политики.

6. Использование указанных технических средств считается автоматическим выражением согласия Пользователя, если такие средства были включены в браузере, приложении или на устройстве, с которого осуществляется доступ к ИИ.

13. Использование CRM, соцсетей, мессенджеров и облачных сервисов

    1. В рамках оказания услуг, взаимодействия с клиентами и администрирования ИИ, Администратор использует специализированные CRM-системы, мессенджеры, социальные сети и облачные сервисы (включая, но не ограничиваясь: Instagram, WhatsApp, Telegram, Bitrix24, AmoCRM, Google Workspace и др.).

    2. При использовании таких инструментов возможна передача, хранение и обработка персональных данных Пользователя на серверах третьих лиц, включая иностранные юрисдикции. Это происходит в случаях, когда:

• Пользователь самостоятельно обращается через указанные каналы (соцсети, мессенджеры);

• данные передаются для целей хранения, анализа, маркетинга или автоматизации клиентской работы;

• сторонние сервисы применяются для бронирования, оплаты, ведения расписаний, email- и SMS-рассылок, регистрации или CRM-аналитики.

3. Администратор обеспечивает, чтобы такие сервисы использовались на условиях, соответствующих принципам защиты персональных данных, и выбирает только тех поставщиков, которые:

• обеспечивают достаточный уровень технической безопасности и конфиденциальности;

• не используют переданные данные для собственных целей;

• обязуются выполнять условия DPA (Data Processing Agreement), NDA и иных соглашений по защите данных.

4. Пользователь, осознанно взаимодействуя с Администратором через социальные сети и мессенджеры, подтверждает и выражает согласие на обработку своих персональных данных в рамках условий, установленных политиками соответствующих платформ (Instagram, WhatsApp, Facebook*, Telegram и др.).**

5. При необходимости Администратор вправе использовать облачные сервисы для:

• хранения резервных копий клиентских анкет, заявок, переписок;

• документального оформления согласий;

• обеспечения удалённой работы персонала;

• интеграции различных каналов связи (омниканальность) и анализа воронки продаж.

6. При наличии рисков несанкционированного доступа или технических уязвимостей Администратор принимает все возможные меры по их минимизации, включая шифрование, двухфакторную авторизацию и разграничение прав доступа сотрудников.

7. Администратор не несёт ответственности за действия, утечку данных или иную обработку со стороны внешних платформ (включая мессенджеры и соцсети), если такая обработка происходит вне контроля Администратора.

14. Видеонаблюдение и фотофиксация в помещениях фитнес-студии

    1. В помещениях фитнес-студии «YA», а также в зоне ресепшен, холлах, зонах ожидания и иных общедоступных или служебных помещениях может осуществляться видеонаблюдение и (или) фотофиксация с использованием технических средств в целях:

• обеспечения безопасности клиентов, сотрудников и имущества;

• предотвращения противоправных действий и разрешения инцидентов;

• соблюдения санитарных, трудовых и административных регламентов;

• контроля качества предоставляемых услуг.

2. Администратор уведомляет Пользователей о факте видеонаблюдения путём размещения информационных табличек, пиктограмм или иных визуальных предупреждений при входе и внутри студии, а также путём включения настоящего раздела в Политику как неотъемлемую часть договора-оферты.

3. Видеозапись и фотофиксация не осуществляется в санитарно-гигиенических зонах (душевых, туалетах, раздевалках) и иных помещениях, где нарушается принцип уважения к частной жизни и личному пространству.

4. Хранение записей осуществляется на электронных носителях, серверах или облачных хранилищах с ограниченным доступом исключительно для сотрудников, уполномоченных Администратором.

5. Срок хранения видеозаписей составляет не более 30 (тридцати) календарных дней, если иное не требуется для рассмотрения инцидента, разрешения спора, а также по запросу уполномоченных государственных органов. По истечении указанного срока записи автоматически удаляются или уничтожаются.

6. Доступ к записям видеонаблюдения может быть предоставлен исключительно:

• по официальному запросу государственных органов, в рамках их полномочий;

• в целях защиты законных прав и интересов Администратора;

• самому субъекту персональных данных, если запись прямо его касается (по письменному заявлению и в пределах, не затрагивающих третьих лиц).

7. Обработка и защита видео- и фото-данных осуществляется по тем же принципам, что и иных персональных данных, в соответствии с настоящей Политикой и законодательством Республики Казахстан.

15. Сроки хранения и уничтожения персональных данных

    1. Персональные данные Пользователя обрабатываются и хранятся Администратором не дольше, чем это необходимо для достижения целей их обработки, предусмотренных настоящей Политикой, либо в течение срока, установленного законодательством Республики Казахстан.

    2. Конкретные сроки хранения могут определяться:

• длительностью использования Пользователем ИИ или получения услуг от Администратора;

• сроком действия публичной оферты или договорных обязательств;

• периодом необходимости ведения статистического, бухгалтерского и налогового учёта;

• сроками исковой давности, предусмотренными гражданским законодательством РК.

3. По достижении цели обработки, а также при отзыве согласия Пользователем, персональные данные подлежат уничтожению, если иное не требуется:

• для исполнения обязательств по ранее заключённому договору;

• в рамках предусмотренного законом хранения бухгалтерских и иных обязательных документов;

• по запросу государственных органов на период проведения проверки, расследования или иного действия в рамках полномочий.

4. Уничтожение персональных данных осуществляется путём:

• удаления информации с серверов, облачных хранилищ и баз данных;

• механического уничтожения носителей (при их наличии);

• удаления резервных копий при достижении соответствующего срока.

5. Уничтожение производится с соблюдением принципов безопасности, в том числе с исключением возможности восстановления данных после удаления.

6. Администратор не несёт ответственности за сохранение персональных данных в системах третьих лиц, если такие данные были переданы с согласия Пользователя или на основании условий взаимодействия через внешние платформы (мессенджеры, соцсети, CRM и пр.).

16. Меры по обеспечению безопасности персональных данных

    1. Администратор принимает необходимые правовые, организационные и технические меры для защиты персональных данных Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

    2. Для обеспечения безопасности персональных данных применяются следующие меры:

• ограничение круга лиц, имеющих доступ к персональным данным, на основе роли и служебной необходимости;

• регламентация внутреннего документооборота и режима конфиденциальности (включая NDA);

• использование антивирусного программного обеспечения, средств шифрования, двухфакторной аутентификации и резервного копирования;

• обучение сотрудников основам информационной безопасности и правилам обработки персональных данных;

• хранение персональных данных в электронном виде на серверах, защищённых от несанкционированного физического или удалённого доступа.

3. При использовании облачных сервисов и внешних провайдеров Администратор проверяет наличие у них политик конфиденциальности, сертификатов информационной безопасности (при наличии) и условий обработки данных, совместимых с требованиями законодательства Республики Казахстан.

4. В случае выявления инцидента, связанного с утечкой, повреждением или несанкционированным доступом к персональным данным, Администратор немедленно инициирует внутреннее расследование, уведомляет заинтересованных лиц (если необходимо) и предпринимает меры по минимизации ущерба.

5. Администратор оставляет за собой право приостанавливать или ограничивать доступ к ИИ при выявлении угроз безопасности персональных данных.

17. Конфиденциальность, риски и отказ от ответственности

    1. Администратор рассматривает всю персональную информацию Пользователя, полученную в рамках использования ИИ, как конфиденциальную и не подлежащую разглашению, за исключением случаев, предусмотренных настоящей Политикой и (или) законодательством Республики Казахстан.

    2. Пользователь осознаёт и принимает, что использование цифровых каналов связи (включая мессенджеры, социальные сети, e-mail, облачные платформы и иные ИИ) сопряжено с техническими рисками, включая возможность:

• несанкционированного доступа третьих лиц к передаваемой информации;

• утери, искажения, блокирования данных в результате сбоев или действий вредоносных программ;

• наличия у третьих платформ (Facebook, WhatsApp, Instagram, Telegram и пр.) собственных политик обработки данных, не подконтрольных Администратору.

3. Пользователь осознаёт, что, передавая персональные данные через такие каналы, он действует добровольно и несёт ответственность за корректность и актуальность этих данных. Администратор не несёт ответственности за:

• ошибки, допущенные Пользователем при предоставлении данных;

• использование информации, переданной через открытые каналы связи, третьими лицами вне контроля Администратора;

• последствия, вызванные техническими сбоями, нарушениями в работе оборудования или программного обеспечения Пользователя либо внешних провайдеров.

4. Администратор не несёт ответственности за последствия обработки персональных данных сторонними сервисами, в том числе мессенджерами, социальными сетями, агрегаторами, если Пользователь взаимодействовал с Администратором через такие платформы, осознанно принимая их условия.

5. В случае предъявления претензий, жалоб или требований от Пользователя, связанных с обработкой персональных данных, Администратор обязуется рассмотреть такие обращения в разумные сроки, но не гарантирует полного устранения последствий, вызванных действиями третьих лиц, либо обстоятельствами, не зависящими от Администратора.

6. Настоящая Политика не может рассматриваться как предоставление каких-либо гарантий Пользователю, выходящих за рамки, установленные законодательством Республики Казахстан и условиями договора-оферты.

18. Права субъекта персональных данных

    1. Пользователь, как субъект персональных данных, имеет право на:

1. Получение информации о факте сбора и обработки его персональных данных, включая:

   • юридическое наименование и реквизиты Администратора;

   • цели, источники и способы обработки персональных данных;

   • перечень обрабатываемых персональных данных;

   • срок хранения и категории третьих лиц, которым может быть передана информация.

2. Запрос на уточнение, обновление, исправление или дополнение своих персональных данных в случае их неполноты, неточности или устаревания.

3. Запрос на ограничение или прекращение обработки, если:

   • достигнуты цели обработки;

   • пользователь отзывает своё согласие;

   • имеются основания, предусмотренные законом.

4. Отзыв ранее данного согласия на обработку персональных данных. Такой отзыв не влияет на законность обработки, осуществлённой до момента отзыва.

5. Требование об уничтожении своих персональных данных, если:

   • достигнута цель обработки;

   • истёк срок хранения;

   • данные обрабатывались незаконно.

6. Обжалование действий или бездействия Администратора, связанных с обработкой персональных данных, в уполномоченные органы или в судебном порядке в соответствии с законодательством Республики Казахстан.

7. Защиту своих прав и законных интересов в случаях нарушения, в том числе — право на возмещение вреда и (или) морального ущерба.

2. Реализация вышеуказанных прав осуществляется Пользователем путём направления соответствующего обращения Администратору в порядке, предусмотренном Разделом 19 настоящей Политики.

3. Администратор вправе отказать в удовлетворении требований Пользователя, если такие требования:

• противоречат обязательствам по договору-оферте;

• нарушают права третьих лиц;

• не подкреплены достаточными основаниями или подтверждающими документами;

• вступают в противоречие с требованиями действующего законодательства Республики Казахстан.

19. Механизмы реализации прав, отзыва согласия и связи с Администратором

    1. Пользователь может реализовать свои права, предусмотренные настоящей Политикой и законодательством Республики Казахстан, в том числе:

• получить информацию об обработке своих персональных данных;

• направить запрос на изменение, блокирование или удаление персональных данных;

• отозвать согласие на обработку персональных данных.

2. Для реализации своих прав Пользователь направляет письменное или электронное обращение на адрес, указанный в разделе 21 настоящей Политики. Обращение должно содержать:

• ФИО Пользователя;

• реквизиты документа, удостоверяющего личность;

• описание сути требования (уточнение, отзыв согласия, ограничение обработки и т.д.);

• контактные данные для обратной связи.

3. В случае подачи обращения через электронную почту Администратор вправе запросить подтверждение личности Пользователя, в том числе путём предоставления скан-копий документа, удостоверяющего личность, или подтверждения по ранее указанным контактным данным.

4. Обращения рассматриваются в течение 10 (десяти) рабочих дней с момента получения. Администратор оставляет за собой право продлить срок рассмотрения, если запрос требует дополнительной проверки или консультаций, уведомив об этом Пользователя.

5. В случае отзыва согласия на обработку персональных данных Пользователя, Администратор прекращает их обработку (включая удаление и блокирование), за исключением случаев, когда сохранение информации необходимо:

• для исполнения ранее заключённых договоров;

• для соблюдения требований законодательства;

• для защиты прав и законных интересов Администратора или третьих лиц.

6. Отзыв согласия может повлечь невозможность дальнейшего предоставления услуг, в том числе доступа к ИИ и участию в сервисах Администратора, о чём Пользователь будет дополнительно уведомлён.

7. Все запросы и обращения Пользователей подлежат регистрации, а их содержание и результаты рассмотрения фиксируются в соответствующем журнале обращений (в электронном или бумажном виде).

20. Порядок внесения изменений в Политику. Применимое право и юрисдикция

    1. Администратор оставляет за собой право в одностороннем порядке изменять, дополнять или пересматривать настоящую Политику в любое время, без предварительного согласования с Пользователем, в случае:

• изменения требований законодательства Республики Казахстан;

• необходимости адаптации Политики к новым условиям работы ИИ или функциональности сервисов;

• корректировки внутренних процедур обработки и защиты персональных данных.

2. Обновлённая редакция Политики вступает в силу с момента её размещения в ИИ или с иного момента, указанного в новой редакции. Пользователь обязуется самостоятельно следить за актуальной версией Политики, размещённой по ссылке, указанной в оферте.

3. Действующая редакция Политики является неотъемлемой частью Договора-оферты, заключаемого между Пользователем и Администратором, и применяется ко всем правоотношениям, возникающим в связи с использованием ИИ и получением услуг.

4. К настоящей Политике, а также ко всем правоотношениям, возникающим между Администратором и Пользователем, применяется законодательство Республики Казахстан. Все споры подлежат разрешению в соответствии с юрисдикцией, установленной в Договоре-оферте.

21. Контактные данные Администратора

Наименование: Индивидуальный предприниматель Шадрина Елена Викторовна

Коммерческое наименование: ИП «ФИТНЕС СТУДИЯ Я ШЫМКЕНТ»

ИИН: 890418400637

Юридический и почтовый адрес: Республика Казахстан, г. Алматы, Кобикова, дом 73

Банк: АО «Kaspi Bank»

БИК: CASPKZKA

ИИК: KZ10722S000034418463